基于云計(jì)算及SDN的電力數(shù)據(jù)中心安全問題分析和防護(hù)策略

劉 川，李志偉，沈衛(wèi)康

（1.國(guó)網(wǎng)智能電網(wǎng)研究院 江蘇 南京　210003；2.南京工程學(xué)院 通信工程學(xué)院 江蘇 南京　211167）

基于云計(jì)算及SDN的電力數(shù)據(jù)中心安全問題分析和防護(hù)策略

劉 川1，李志偉2，沈衛(wèi)康2

（1.國(guó)網(wǎng)智能電網(wǎng)研究院 江蘇 南京210003；2.南京工程學(xué)院 通信工程學(xué)院 江蘇 南京211167）

針對(duì)電力系統(tǒng)數(shù)據(jù)中心安全問題，通過結(jié)合目前互聯(lián)網(wǎng)在云計(jì)算及SDN技術(shù)下數(shù)據(jù)中心所面臨的安全問題和電力系統(tǒng)特殊應(yīng)用場(chǎng)景，對(duì)電力系統(tǒng)數(shù)據(jù)中心的安全問題進(jìn)行分析，并提出一些防護(hù)策略。整個(gè)框架主要集中在SDN控制器中，控制器自下向上分別為南向接口、服務(wù)抽象層、北向接口3個(gè)部分。通過對(duì)安全威脅進(jìn)行建模、受攻擊面展開分析論證，使得不同場(chǎng)景的用戶都能得到安全架構(gòu)的保障，具備較高的可行性。

云計(jì)算；軟件定義網(wǎng)絡(luò)（SDN）；電力數(shù)據(jù)中心；信息安全；北向接口；控制器

在互聯(lián)網(wǎng)飛速發(fā)展的今天，網(wǎng)絡(luò)安全威脅日益重要，IP網(wǎng)絡(luò)用戶對(duì)安全的需求越來(lái)越高，使得網(wǎng)絡(luò)的基礎(chǔ)承載協(xié)議和上層應(yīng)用都將關(guān)注焦點(diǎn)集中在安全問題上［1-3］。隨著SDN的發(fā)展，越來(lái)越多的廠商進(jìn)入了SDN的大潮中，但隨著SDN產(chǎn)品解決方案的頻頻迭出，著實(shí)印證了SDN技術(shù)的火爆［4-6］。從數(shù)據(jù)中心內(nèi)網(wǎng)絡(luò)到數(shù)據(jù)中心間鏈路優(yōu)化，從局域網(wǎng)到廣域網(wǎng)，SDN的應(yīng)用場(chǎng)景一再拓展，不過最成熟、實(shí)用的方案莫過于在數(shù)據(jù)中心的應(yīng)用［7-9］。

基于云計(jì)算及SDN技術(shù)的電力數(shù)據(jù)中心發(fā)揚(yáng)了云計(jì)算資源池化、按需分配、靈活遷移和SDN可編程、高靈活、便捷管理、集中管控的優(yōu)勢(shì)，解決了一些傳統(tǒng)網(wǎng)絡(luò)的安全隱患，但也面臨著新的安全問題。本文將針對(duì)基于云計(jì)算及SDN技術(shù)的電力數(shù)據(jù)中心進(jìn)行安全問題的分析，并提供安全防護(hù)策略。

1　電力數(shù)據(jù)中心安全問題

基于云計(jì)算及SDN技術(shù)的電力數(shù)據(jù)中心，其技術(shù)架構(gòu)最常見的莫過于開源的技術(shù)架構(gòu)，在云計(jì)算中最流行的是OpenStack［10］、CloudStack［11］技術(shù)，SDN中有專攻交換機(jī)的OpenvSwitch、Quagga和專攻控制器的 OpenDaylight、ONOS、Floodlight等技術(shù)［12-13］。這些開源技術(shù)架構(gòu)在帶來(lái)便利的同時(shí)，也在一步步暴露著安全性問題，下面將對(duì)云計(jì)算和SDN兩種技術(shù)在電力數(shù)據(jù)中心中的安全問題進(jìn)行解析。

1.1云計(jì)算帶來(lái)的安全問題

1）拒絕服務(wù)攻擊

云計(jì)算通過網(wǎng)絡(luò)帶寬和Web API的方式提供服務(wù)［14］，在可用性方面面臨著很大的挑戰(zhàn)，利用云計(jì)算技術(shù)進(jìn)行密碼破解，利用大量虛擬主機(jī)資源進(jìn)行僵尸網(wǎng)絡(luò)攻擊等等都存在著很大的惡意使用空間。

2）不安全的API

“開放”、“開源”是云計(jì)算的重要特質(zhì)，Cloud服務(wù)提供商需要提供大量的網(wǎng)絡(luò)接口和API來(lái)整合直接或間接提供服務(wù)［15］。但開發(fā)過程中的安全測(cè)試、運(yùn)行過程中的滲透測(cè)試，以及測(cè)試方法等在針對(duì)網(wǎng)絡(luò)接口和API上都還不夠成熟，這些通常工作于后臺(tái)相對(duì)安全環(huán)境的功能被開放出來(lái)后，將會(huì)帶來(lái)新的安全威脅。

3）共享技術(shù)產(chǎn)生的問題

資源的虛擬池化和共享是云計(jì)算的根本，但是這種共享并不是沒有代價(jià)的，最為典型的代價(jià)就是使得安全性降低。

4）數(shù)據(jù)泄漏

數(shù)據(jù)泄漏是云計(jì)算、尤其是公共“云”最被人們擔(dān)心的問題。企業(yè)或組織的管理層和IT決策者，需要仔細(xì)評(píng)估云計(jì)算提供商對(duì)數(shù)據(jù)的保護(hù)能力［16］。很多威脅都可能導(dǎo)致云中的數(shù)據(jù)丟失和泄漏。云中關(guān)鍵數(shù)據(jù)的高密度聚合，給潛在的攻擊者帶來(lái)極大的誘惑。

5）賬號(hào)和服務(wù)劫持

在云環(huán)境中，如果攻擊者能夠獲得你的賬號(hào)信息，他們就可以竊聽你的活動(dòng)和交易，操縱處理的數(shù)據(jù)，發(fā)送虛假的信息并且被“劫持”的服務(wù)和賬號(hào)可能會(huì)被利用，以便發(fā)起新的攻擊。

6）未知的風(fēng)險(xiǎn)場(chǎng)景

云計(jì)算服務(wù)商和用戶之間存在很大的信息不對(duì)稱性。一方面，用戶選擇將自己的IT計(jì)算和服務(wù)外包給云服務(wù)提供商，就是為了解放和優(yōu)化自己的資源，所以無(wú)法全面洞察“云”中的所有細(xì)節(jié)；另一方面，云服務(wù)提供商出于商業(yè)機(jī)密和安全考慮，并不情愿分享所有的關(guān)鍵信息。在這種情形下，云計(jì)算的用戶必然需要處理大量的未知安全風(fēng)險(xiǎn)。

1.2SDN技術(shù)帶來(lái)的安全問題

SDN給數(shù)據(jù)中心安全帶來(lái)一個(gè)契機(jī)，模糊的邊界因?yàn)镾DN變成有結(jié)構(gòu)的網(wǎng)絡(luò)，使得安全能夠重新找到一個(gè)著力點(diǎn)。另外它能夠使得網(wǎng)絡(luò)資源和存儲(chǔ)、計(jì)算資源一樣，被用戶分割使用，但仍存在安全隱患。

圖1　SDN架構(gòu)

SDN應(yīng)用最廣泛的場(chǎng)景莫過于數(shù)據(jù)中心，帶來(lái)了很多優(yōu)秀特性也絲毫不能避免存在的安全隱患，電力數(shù)據(jù)中心基于SDN技術(shù)的架構(gòu)演進(jìn)也不得不面對(duì)該技術(shù)對(duì)數(shù)據(jù)中心帶來(lái)的安全問題。開源SDN是一項(xiàng)熱門技術(shù)，在商業(yè)和非營(yíng)利性組織的共同推動(dòng)下迅速發(fā)展。2015年對(duì)SDN而言是至關(guān)重要的一年，SDN開始從實(shí)驗(yàn)階段向生產(chǎn)部署階段過渡。在這個(gè)期間SDN必須面對(duì)穩(wěn)定性、可擴(kuò)展性和安全性等問題。也就是說，SDN想要成功向生產(chǎn)部署過渡，首先就必須定位并解決SDN控制器和交換機(jī)中的安全隱患。

傳統(tǒng)網(wǎng)絡(luò)中物理設(shè)備包含了網(wǎng)絡(luò)的控制層面和數(shù)據(jù)層面，通常是由專用硬件和軟件組成。如圖1所示，軟件定義網(wǎng)絡(luò)將控制層面剝離出來(lái)集中到一個(gè)控制器中，控制器可以通過OpenFlow等協(xié)議控制交換機(jī)，而交換機(jī)只需要負(fù)責(zé)處理數(shù)據(jù)層面即可。從安全角度來(lái)看，這種責(zé)任分配機(jī)制既有好處也有弊端。將控制層網(wǎng)絡(luò)與數(shù)據(jù)轉(zhuǎn)發(fā)網(wǎng)絡(luò)分離明顯是SDN的一項(xiàng)優(yōu)勢(shì)，但是控制權(quán)的集中化導(dǎo)致控制器成為攻擊重點(diǎn)。

除了SDN控制器提供的控制器層的管理接口，控制器還有其他攻擊面：交換機(jī)管理的數(shù)據(jù)層面。當(dāng)交換機(jī)收到一個(gè)沒有匹配項(xiàng)的數(shù)據(jù)包時(shí)，交換機(jī)就會(huì)把這個(gè)數(shù)據(jù)包發(fā)送給控制器征詢意見。攻擊者可以鉆這個(gè)空子，向SDN交換機(jī)發(fā)送數(shù)據(jù)從而利用控制器中的漏洞。

2　安全防護(hù)框架

在以上的安全問題紕漏中會(huì)發(fā)現(xiàn)在云計(jì)算技術(shù)和SDN技術(shù)中，往往有很多安全問題具有很多雷同點(diǎn)，在云計(jì)算上的安全問題有時(shí)是SDN解決方案的優(yōu)勢(shì)，也就會(huì)對(duì)該安全問題迎刃而解。有些問題是雙方都面臨的，所以需要有更好的應(yīng)對(duì)策略。目前設(shè)計(jì)的方案如圖2所示。

圖2　SDN電力數(shù)據(jù)中心安全框架

2.1設(shè)計(jì)思想

無(wú)論是云計(jì)算平臺(tái)還是SDN技術(shù)，應(yīng)對(duì)安全問題最好的方式莫過于設(shè)計(jì)應(yīng)對(duì)相應(yīng)問題的安全架構(gòu)，對(duì)現(xiàn)有的企業(yè)合規(guī)應(yīng)用部署框架與安全行業(yè)實(shí)踐相融合，進(jìn)行一體化的安全架構(gòu)設(shè)計(jì)，對(duì)安全威脅進(jìn)行建模、受攻擊面展開分析論證，使不同場(chǎng)景的用戶都得到安全架構(gòu)的保障。

2.2框架分析

整個(gè)框架主要集中在SDN控制器中，控制器自下向上為南向接口、服務(wù)抽象層、北向接口3個(gè)部分。

1）南向接口

南向接口用于控制器與物理基礎(chǔ)設(shè)施的網(wǎng)元之間進(jìn)行通信，獲取網(wǎng)元相關(guān)信息。經(jīng)典的SDN架構(gòu)中的南向接口協(xié)議包含OpenFlow和它的伴侶協(xié)議OF-CONFIG，這兩個(gè)協(xié)議是由OpenFlow標(biāo)準(zhǔn)化組織ONF開發(fā)并維護(hù)的，他們致力于將控制器的南向接口標(biāo)準(zhǔn)化與統(tǒng)一化，希望轉(zhuǎn)發(fā)平面的硬件完全由這兩個(gè)協(xié)議所規(guī)范，是目前較為成熟的南向接口協(xié)議，獲得了業(yè)界廣泛的認(rèn)可。在本方案中，南向接口協(xié)議并不局限于OpenFlow和OF-CONFIG，可以包含SNMP、Netconf等協(xié)議。

2）服務(wù)抽象層

服務(wù)抽象層用于適配多種南向接口協(xié)議，并且為上層提供一致的標(biāo)準(zhǔn)化數(shù)據(jù)，以保證提供一致性服務(wù)。另外該層提供將來(lái)自上層的調(diào)用轉(zhuǎn)換為底層基礎(chǔ)設(shè)施適合的協(xié)議格式。

3）北向接口

北向接口除提供常見的網(wǎng)絡(luò)能力API之外，還分為兩個(gè)部分，一個(gè)部分針對(duì)北向接口安全處理，另一個(gè)部分做特殊攻擊的防范，如圖3所示。

圖3　安全框架實(shí)施圖

通用性防護(hù)提供安全響應(yīng)流程：提供匯報(bào)安全漏洞的渠道；做好修補(bǔ)漏洞的前期準(zhǔn)備工作，確保任何漏洞細(xì)節(jié)不會(huì)曝光；迅速修補(bǔ)漏洞；能夠簡(jiǎn)潔、明了地向用戶說明漏洞，并且協(xié)助用戶修補(bǔ)漏洞。

北向接口安全處理：

①認(rèn)證/授權(quán)層：該層提供北向接口的授權(quán)功能，包括常見的鑒權(quán)、身份驗(yàn)證、權(quán)限分配功能等AAA級(jí)安全功能。

②模型抽象層：該層對(duì)所提供的北向接口進(jìn)行模型抽象化，這里的模型包括業(yè)務(wù)模型和網(wǎng)絡(luò)模型。通過將底層提供的數(shù)據(jù)進(jìn)行分類，將多種信息格式進(jìn)行抽象化，以提供一致性的服務(wù)。

③安全容器層：為防止用戶對(duì)網(wǎng)絡(luò)資源進(jìn)行不合理的利用，并且保證多用戶間的空間、業(yè)務(wù)和權(quán)限的隔離，在啟動(dòng)前進(jìn)行預(yù)執(zhí)行檢查。

特殊攻擊防范：

①抗DDoS攻擊：云計(jì)算中心因其業(yè)務(wù)的特殊性，在可用性方面將會(huì)受到挑戰(zhàn)，針對(duì)云計(jì)算服務(wù)的拒絕服務(wù)攻擊需要云計(jì)算服務(wù)提供商認(rèn)真調(diào)查、采取相應(yīng)的專門保護(hù)措施。其次，云計(jì)算快速?gòu)椥缘奶卣饕蠓?wù)提供商自身必須具備非常強(qiáng)大的網(wǎng)絡(luò)和服務(wù)器資源來(lái)支撐，按需自服務(wù)的特征又對(duì)業(yè)務(wù)開通和服務(wù)變更等環(huán)節(jié)提出了靈活性的要求。這兩個(gè)特征結(jié)合在一起，使得云計(jì)算中心很容易成為濫用、惡意使用服務(wù)的溫床。雙向的分布式拒絕服務(wù)攻擊（DDoS）、蠕蟲病毒等大規(guī)模的流量型攻擊成為了大型云平臺(tái)的潛在威脅。

②DNS域名防護(hù)：DNS系統(tǒng)的安全防護(hù)應(yīng)該是一個(gè)系統(tǒng)的、全方位的解決方案。從安全事件的角度來(lái)看，應(yīng)分為事前評(píng)估加固、事中實(shí)時(shí)防御、事后分析取證3個(gè)階段。從系統(tǒng)防護(hù)的縱深度來(lái)看，應(yīng)覆蓋物理層面、系統(tǒng)層面、數(shù)據(jù)應(yīng)用層面等多個(gè)維度。

③網(wǎng)絡(luò)入侵檢測(cè)：利用入侵檢測(cè)系統(tǒng)的攻擊結(jié)果判定功能重點(diǎn)關(guān)注攻擊成功的安全事件。針對(duì)某些特定的安全規(guī)則單獨(dú)設(shè)定安全策略，針對(duì)云計(jì)算中心業(yè)務(wù)特點(diǎn)過濾一些低風(fēng)險(xiǎn)或者不可能成功的攻擊行為，從而減少管理員關(guān)注日志告警的工作量，也使得重要攻擊行為能夠得到重點(diǎn)體現(xiàn)。同時(shí)，可以針對(duì)業(yè)務(wù)特點(diǎn)自定義某些特定的安全規(guī)則。

3　結(jié)束語(yǔ)

本文針對(duì)基于云計(jì)算及SDN技術(shù)的電力數(shù)據(jù)中心安全問題進(jìn)行了分析，并提出了基于SDN的電力數(shù)據(jù)中心安全框架，并提出了部署方案，具備較高的可行性。

［1］戴彬，王航遠(yuǎn)，徐冠，等.SDN安全探討：機(jī)遇與威脅并存［J］.計(jì)算機(jī)應(yīng)用研究，2014，31（8）：2254-2262.

［2］周蘇靜.淺析SDN安全需求和安全實(shí)現(xiàn)［J］.電信科學(xué)，2013，29（9）：113-116.

［3］Qazi Z A，Tu C C，Chiang L，et al.SIMPLE-fying middlebox policy enforcement using SDN［J］.Acm Sigcomm Computer Communication Review，2013，43（4）：27-38.

［4］Bosshart P，Gibb G，Kim H S，et al.Forwarding metamorphosis：fast programmable match-action processing in hardware for SDN［J］.Acm Sigcomm Computer Communication Review，2013，43（4）：99-110.

［5］Voellmy A，Wang J，Yang Y R，et al.Maple：Simplifying SDN programming using algorithmic policies［J］.Acm Sigcomm Computer Communication Review，2013，43（4）：87-98.

［6］左青云，張海粟.基于OpenFlow的SDN網(wǎng)絡(luò)安全分析與研究［J］.信息網(wǎng)絡(luò)安全，2015，15（2）：26-32.

［7］Dai B，Wang H Y，Guan X U，et al.Opportunities and threats coexist in SDN security［J］.Application Research of Computers，2014，32（4）：110-115.

［8］En H E，Zhang D Z，Hao P.Software-Defined networking security［J］.Communications Technology，2014，31（3）：1-2.

［9］Yoon C，Park T，Lee S，et al.Enabling security functions with SDN：A feasibility study［J］.Computer Networks，2015，85 （3）：19-35.

［10］Corradi A，F(xiàn)anelli M，F(xiàn)oschini L.VM consolidation：A real case based on OpenStack Cloud［J］.Future Generation ComputerSystems，2014，32（2）：118-127.

［11］馮苜川.基于Cloudstack云平臺(tái)的Pfsense軟件防火墻的分析與測(cè)試［D］.北京郵電大學(xué)，2015.

［12］Zhang-Feng H U，Guo C M，Xue-Yao B I.Research on Cloud Computing，SDN and Security Technology［J］.Netinfo Security，2013，28（6）：78-85.

［13］Mayoral A，Vilalta R，Munoz R，et al.Experimental validation of automatic lightpath establishment integrating Open-DayLight SDN controller and Active Stateful PCE within the ADRENALINE testbed［C］//Transparent Optical Networks （ICTON），International Conference on.IEEE：New York， USA.2014：1-4.

［14］亞森·艾則孜，迪里夏提·買買提，如先故力·阿布都熱西提.基于Google Web API的單機(jī)版維文元搜索引擎技術(shù)研究［J］.信息網(wǎng)絡(luò)安全，2011，11（5）：77-80.

［15］林闖，蘇文博，孟坤，等.云計(jì)算安全：架構(gòu)、機(jī)制與模型評(píng)價(jià)［J］.計(jì)算機(jī)學(xué)報(bào)，2013，36（9）：1765-1784.

［16］Cao N，Wang C，Li M，et al.Privacy-Preserving Multi-Keyword ranked search over encrypted cloud data［J］.Parallel& Distributed Systems IEEE Transactions on，2014，25（1）：222-233.

Analysis and protection strategy of power data center security based on cloud computing and SDN technology

LIU Chuan1，LI Zhi-wei2，SHEN Wei-kang2
（1.The Smart Grid Research Institute of National Grid，Nanjing 210003，China；2.College of Communication Engineering，Nanjing Institute of Technology，Nanjing 211167，China）

For the security issues of data center in the power system，the security problems and the special application scenarios of the power system under the current Internet based on cloud computing and SDN technology are analyzed，and the security of power system data center is analyzed，and some protection strategies are put forward.Proposed framework concentrates in the SDN controller，which includes south interface，service abstraction layer，north interface from top to bottom.Users of different scenarios can be guaranteed by modeling the security threat and analyzing attack surface，which has a high feasibility.

cloud computing；software defined networking（SDN）；power data center；information security；north to interface；controller

TN919

A

1674－6236（2016）09-0136-03

2015-12-18稿件編號(hào)：201512199

國(guó)家電網(wǎng)公司2014年科技項(xiàng)目（5455HT150017）；江蘇省未來(lái)網(wǎng)絡(luò)創(chuàng)新研究院未來(lái)網(wǎng)絡(luò)前瞻性研究項(xiàng)目（BY2013095-4-07）

劉 川（1986—），男，江蘇南京人，碩士，工程師。研究方向：電力通信、未來(lái)網(wǎng)絡(luò)技術(shù)等。